LLMjacking macht gestohlene API-Schlüssel zum Geschäftsmodell
Stellen Sie sich vor, am Monatsende trifft die Rechnung für KI-Dienste ein und weist unerwartete Kosten von mehreren Zehntausend Euro aus. Dabei hat das Unternehmen weder ein neues Modell trainiert noch massenhaft Bilder erzeugt, und auch keine interne Anwendung verzeichnete plötzlich einen außergewöhnlichen Anstieg der Nutzerzahlen. Mit hoher Wahrscheinlichkeit hat jemand anderes die künstliche Intelligenz genutzt. Mit dem API-Schlüssel des Unternehmens und auf dessen Rechnung. Das berichten unsere Kollegen von Finance.si.
Diese Form der Cyberkriminalität wird als LLMjacking bezeichnet. Der Begriff orientiert sich am sogenannten Cryptojacking. Dabei infizieren Angreifer fremde Computer und nutzen deren Rechenleistung zum Schürfen von Kryptowährungen. Beim LLMjacking stehlen Kriminelle dagegen den Zugang zu großen Sprachmodellen, Grafikprozessoren und anderen KI-Diensten. Dafür benötigen Angreifer nicht zwingend eine Sicherheitslücke im eigentlichen System oder eigens entwickelte Schadsoftware. Mitunter genügt ein vergessener API-Schlüssel in einem öffentlichen Software-Repository.
Die meisten kommerziellen KI-Modelle lassen sich über automatisierte Programmierschnittstellen, sogenannte APIs, nutzen. Eine Anwendung identifiziert sich beim Anbieter mit einem digitalen Schlüssel und sendet anschließend eine Anfrage an das Modell. Der Anbieter berechnet die Nutzung abhängig von der Zahl der eingegebenen und erzeugten Token, dem gewählten Modell oder der beanspruchten Rechenleistung. Ein API-Schlüssel ist damit weit mehr als eine technische Schnittstelle. Er funktioniert gleichzeitig als Zahlungsmittel, Nutzungsberechtigung für einen Dienst und häufig als Zugang zu einer größeren Cloud-Umgebung. Angreifer suchen solche Schlüssel gezielt in öffentlichen Code-Repositories, Konfigurationsdateien, Container-Images, Protokolldateien, Entwicklungsumgebungen und gestohlenen Sammlungen von Zugangsdaten. Sie können die Schlüssel auch nach einem erfolgreichen Angriff auf einen verwundbaren Server oder mithilfe von Schadsoftware erbeuten, die Passwörter und andere vertrauliche Informationen ausliest.
Forscher des Cybersecurity-Unternehmens Sysdig verwendeten den Begriff LLMjacking erstmals 2024. Damals beobachteten sie einen Angriff, bei dem Kriminelle aus einem verwundbaren System auf Basis des Laravel-Frameworks Zugangsdaten für eine Cloud-Umgebung entwendeten. Anschließend prüften sie automatisiert, auf welche Modelle und Nutzungskontingente sie mit diesen Zugangsdaten zugreifen konnten. Das Vorgehen ähnelt dem Test einer gestohlenen Zahlungskarte durch einen kleinen Einkauf. Sobald ein Angreifer festgestellt hat, dass die Karte funktioniert, beginnt die eigentliche Nutzung.
Sysdig kam inzwischen zu der Einschätzung, dass sich LLMjacking von einzelnen Missbrauchsfällen zu einem organisierten kriminellen Markt entwickelt hat. Bei der Operation "Bizarre Bazaar" suchten Angreifer nach ungeschützten Programmierschnittstellen und Entwicklungsservern, prüften die Qualität der gefundenen Zugänge und verkauften die gestohlene Rechenleistung anschließend über Telegram und Discord weiter. Zahlungen akzeptierten die Beteiligten sowohl in Kryptowährungen als auch über herkömmliche Zahlungsdienste.
Auch das schwedische Sicherheitsunternehmen Truesec warnt vor dieser Entwicklung. Eine der größeren aufgedeckten Operationen umfasste demnach fast 33.000 IP-Adressen sowie eine Infrastruktur zur Aufteilung und zum Weiterverkauf gestohlener Nutzungskontingente. Nach Einschätzung des Unternehmens könnte der Missbrauch der teuersten Modelle Kosten von mehr als rund 86.543 Euro pro Tag verursachen.
Solche Summen beschreiben jedoch Extremszenarien und sind kein allgemeiner Richtwert für einen einzelnen Vorfall. Die tatsächlichen Kosten hängen vom verwendeten Modell, den verfügbaren Kontingenten, den Begrenzungen des jeweiligen Kontos und der Zeitspanne bis zur Entdeckung des Angriffs ab.
LLMjacking fällt häufig zuerst bei den Kosten auf
Klassische Sicherheitssysteme sind darauf ausgerichtet, Schadsoftware, ungewöhnliche Anmeldevorgänge und verdächtige Bewegungen innerhalb eines Netzwerks zu erkennen. Beim LLMjacking verwendet der Angreifer jedoch einen gültigen Schlüssel und eine legitime Programmierschnittstelle. Aus Sicht des Anbieters handelt es sich zunächst um eine technisch korrekte Anfrage. Sie stammt lediglich von der falschen Person.
Welche Anzeichen sollten Unternehmen bei solchen Angriffen beachten? "Die typischsten Anzeichen für LLMjacking sind ein plötzlicher Anstieg von Verbrauch und Kosten, eine hohe Zahl von Anfragen zu ungewöhnlichen Zeiten, Zugriffe aus neuen Ländern oder von neuen IP-Adressen sowie die Nutzung von Modellen, die das Unternehmen normalerweise nicht verwendet", sagt Milan Gabor, Gründer und Geschäftsführer des Unternehmens Viris sowie zertifizierter Ethical Hacker.
Gabor erklärt, dass der Angreifer in einer solchen Situation einen gültigen API-Schlüssel und einen legitimen Dienst verwendet. Klassische Sicherheitswerkzeuge können die Aktivität deshalb nur schwer erkennen. "Deshalb muss ein Unternehmen die Überwachung technischer Protokolle mit der Überwachung des Verbrauchs verbinden und Warnungen bei ungewöhnlichen Kosten- und Verhaltensabweichungen einrichten. Wichtig sind auch eine Begrenzung der Zahl der Anfragen, strenge Verbrauchsquoten und die Möglichkeit, einen Schlüssel bei verdächtigen Aktivitäten automatisch vorübergehend zu sperren", erklärt Gabor.
Das erste Warnsignal muss daher nicht aus dem Security Operations Center kommen. Es kann auch die Abteilung bemerken, die Rechnungen und laufende Kosten kontrolliert. Der finanzielle Aspekt ist besonders relevant, da die Abrechnung vieler KI-Dienste unmittelbar an die tatsächliche Nutzung gekoppelt ist. Eine große Zahl automatisierter Anfragen kann innerhalb kurzer Zeit erhebliche Kosten verursachen, ohne dass Mitarbeiter des betroffenen Unternehmens selbst ungewöhnliche Aktivitäten feststellen.
Die Gefahr beschränkt sich zudem nicht auf einzelne besonders wertvolle KI-Modelle. Jeder API-Schlüssel, über den sich kostenpflichtige Rechenleistung abrufen lässt, kann für Angreifer wirtschaftlich interessant sein. Entscheidend ist, ob sich die gestohlene Ressource selbst nutzen oder an andere Akteure weiterverkaufen lässt.
LLMjacking wird zum Werkzeug für neue Cyberangriffe
Das Geschäftsmodell hinter LLMjacking war zunächst vergleichsweise einfach. Angreifer stahlen Zugangsdaten, verbrauchten fremde Rechenleistung und verkauften diese nach Möglichkeit weiter. Gestohlene künstliche Intelligenz kann allerdings auch direkt zum Werkzeug für weitere Cyberangriffe werden. Im Juni wurde ein Angreifer entdeckt, der einen öffentlich erreichbaren und falsch konfigurierten Ollama-Server als "Gehirn" eines automatisierten Angriffssystems einsetzte. Der Server verlangte keine Anmeldung. Das Werkzeug des Angreifers konnte das Modell daher kostenlos einsetzen, um Dienste zu identifizieren, geeignete Schwachstellen zu finden, Testcode vorzubereiten und weitere Schritte nach einem erfolgreichen Eindringen in ein System zu planen.
Das Modell war an mehreren Phasen des Angriffs beteiligt. Es analysierte Webseiten, wählte mögliche Schwachstellen aus, bereitete Versuche für SQL-Injection-Angriffe vor, suchte in kompromittierten Systemen nach vertraulichen Informationen und schlug Möglichkeiten zur Ausweitung von Zugriffsrechten vor. Die Software rund um das Modell setzte dessen Antworten anschließend in konkrete Aktionen um. Der Angreifer nutzte damit nicht lediglich einen fremden Chatbot. Er integrierte gestohlene Rechenkapazitäten in eine automatisierte Angriffskette.
Mögliche finanzielle Schäden bilden dabei nur einen Teil des Risikos. Angreifer können vorhandene Nutzungskontingente vollständig aufbrauchen und dadurch legitime Anwendungen eines Unternehmens außer Betrieb setzen. Ermöglicht dasselbe Konto zusätzlich den Zugriff auf Datenbanken, Speicher, agentische Werkzeuge oder MCP-Server, können die Täter von der missbräuchlichen Modellnutzung tiefer in die IT-Umgebung eindringen.
Ein gestohlener Schlüssel kann darüber hinaus Informationen darüber liefern, welche Modelle ein Unternehmen einsetzt, wie diese mit internen Systemen verbunden sind und welche Sicherheitsbeschränkungen eingerichtet wurden. Auch die Inhalte der Anfragen können problematisch werden. Angreifer können über das Konto eines Opfers Phishing-Nachrichten erzeugen, gestohlene Daten analysieren, Schadcode verbessern oder automatisierte Cyberangriffe ausführen. In den Protokollen des Anbieters bleibt die Aktivität mit dem Konto des kompromittierten Unternehmens verknüpft. Das betroffene Unternehmen muss später unter Umständen nachweisen, dass es die betreffenden Anfragen nicht selbst gesendet hat.
Das Risiko ist inzwischen so konkret, dass auch Versicherungsunternehmen LLMjacking gesondert behandeln. Die Financial Times berichtete, dass einige Anbieter von Cyberversicherungen für Schäden im Zusammenhang mit LLMjacking eigene und deutlich niedrigere Entschädigungsgrenzen einführen. Besondere Aufmerksamkeit verdienen deshalb API-Schlüssel. "API-Schlüssel müssen genauso sorgfältig behandelt werden wie Passwörter. Sie dürfen nicht direkt im Quellcode, in öffentlichen Repositories oder in Skripten gespeichert werden, sondern gehören in spezielle Systeme zur Verwaltung vertraulicher Zugangsdaten, die genau für diesen Zweck entwickelt wurden. Jeder Schlüssel sollte nur die Rechte besitzen, die tatsächlich benötigt werden, und Beschränkungen für Nutzung und Verbrauch haben", erklärt Milan Gabor.
Wichtig sei außerdem, Schlüssel für Entwicklungs-, Test- und Produktionsumgebungen voneinander zu trennen und regelmäßig auszutauschen. "Die häufigsten Fehler von Unternehmen sind die Verwendung eines einzigen Schlüssels für mehrere Systeme oder Nutzer, zu weitreichende Berechtigungen, unbegrenzter Verbrauch sowie Schlüssel, die auch dann aktiv bleiben, wenn niemand sie mehr benötigt", sagt Gabor.
Besondere Vorsicht ist zudem bei Entwicklungsumgebungen erforderlich. Ein experimenteller Chatbot, ein vorübergehend eingerichteter Server oder ein MCP-Testendpunkt ist nicht automatisch ungefährlich, nur da das System noch nicht im tatsächlichen Produktivbetrieb arbeitet. Ist ein solcher Dienst über das Internet erreichbar, können automatisierte Suchsysteme ihn früher oder später finden.
Für deutsche Unternehmen ergibt sich daraus eine unmittelbare wirtschaftliche Relevanz. Je stärker Unternehmen kostenpflichtige KI-Dienste über APIs in interne Abläufe, Softwareprodukte und Cloud-Infrastrukturen integrieren, desto wichtiger werden eine konsequente Verwaltung von Zugangsschlüsseln, feste Kostenlimits und die laufende Kontrolle ungewöhnlicher Nutzungsmuster.
